Una transferencia bancaria no autorizada puede generar dudas sobre quién debe asumir el dinero perdido y qué opciones existen para reclamarlo. Si has sido víctima de un fraude mediante SMS, llamada telefónica u otra técnica de suplantación, un abogado reclamar transferencia no autorizada Zaragoza puede analizar las circunstancias de la operación, la actuación de la entidad bancaria y la documentación disponible para valorar las posibles vías legales en tu caso. La Sentencia 317/2026 de la Audiencia Provincial de Zaragoza aborda un supuesto de fraude mediante smishing y caller ID spoofing, en el que se discutió si la actuación del cliente constituía negligencia grave. A continuación, analizamos los criterios utilizados por el tribunal.
Identificación de la Sentencia
- Tribunal: Audiencia Provincial de Zaragoza.
- Sección: 4.
- Fecha: 12 de junio de 2026.
- Nº de Resolución: 317/2026.
Antecedentes
El Sr. Fernando era titular de una cuenta corriente en la entidad Ibercaja Banco S.A.
El 22 de marzo de 2023, recibió un SMS fraudulento en su teléfono móvil dentro de la misma línea de conversación o hilo habitual de mensajes que mantenía con el banco.
El mensaje le advertía de que un nuevo dispositivo se había vinculado a su cuenta desde Rumanía y le solicitaba verificar la operación pinchando en el enlace.
Al ver que procedía del canal de comunicación ordinario, el Sr. Fernando pinchó en el enlace, aunque no pudo acceder a la página.
Minutos más tarde, el Sr. Fernando recibió una llamada telefónica procedente de un número de teléfono identificado como NUM000.
Tras realizar una búsqueda rápida en Google, constató que dicho número correspondía efectivamente al teléfono de atención al cliente de Ibercaja.
Al contestar, una mujer identificada como “Marta”, que se presentó como trabajadora de la entidad, le informó de que alguien intentaba realizar una transferencia no autorizada desde su cuenta y le guió paso a paso para cancelarla.
Siguiendo sus instrucciones, el cliente introdujo sus claves de acceso y facilitó el código de confirmación SMS que acababa de recibir en su teléfono móvil.
Mediante este engaño, los ciberdelincuentes realizaron una transferencia no autorizada por importe de 6.000 euros con destino a una cuenta en Irlanda de la entidad Modulr, cuyo titular aparecía como Berta.
Al día siguiente, 23 de marzo de 2023, los estafadores intentaron realizar una segunda transferencia por otros 6.000 euros, pero la operación no se completó porque el Sr. Fernando se encontraba en urgencias hospitalarias y se negó a facilitar el nuevo código de confirmación recibido.
Tramitación Judicial
Primera Instancia
La Sección Civil del Tribunal de Instancia de Zaragoza (Plaza nº 9), en autos de Procedimiento Ordinario nº 0000560/2024-0, dictó sentencia el 26 de junio de 2024 estimando íntegramente la demanda interpuesta por el Sr. Fernando.
El juzgado condenó a Ibercaja Banco S.A. a abonar al demandante la cantidad de 6.000 euros, más los intereses legales y las costas del proceso, al apreciar que se trataba de una transferencia no autorizada y que no existía negligencia grave del usuario.
Audiencia Provincial
Ibercaja Banco S.A. interpuso recurso de apelación alegando error en la valoración de la prueba, sosteniendo que sus sistemas informáticos funcionaron correctamente y que el perjuicio se debió a la negligencia grave del cliente por facilitar voluntariamente sus claves personales y de firma electrónica.
La Audiencia Provincial de Zaragoza ha desestimado el recurso de apelación, confirmando la sentencia de instancia.
Cuestión Jurídica Principal
La controversia jurídica radica en determinar el régimen de responsabilidad y la carga de la prueba en los casos de transferencias bancarias fraudulentas cometidas mediante técnicas de ingeniería social como el phishing, smishing y spoofing telefónico.
El tribunal debe dilucidar si la conducta del cliente, al introducir sus claves de seguridad tras recibir un SMS en el hilo oficial del banco y una llamada que suplantaba el teléfono real de atención de la entidad, constituye una negligencia grave bajo el Real Decreto-ley 19/2018 de servicios de pago que exonere al banco de su obligación de reembolso.
Razonamiento del Tribunal
En este caso concreto, la Sala desestima el recurso y confirma la responsabilidad de la entidad financiera.
El tribunal razona que, conforme al Real Decreto-ley 19/2018 y la Directiva (UE) 2015/2366, el proveedor de servicios de pago asume una responsabilidad de naturaleza cuasi-objetiva por las operaciones no autorizadas, correspondiéndole a este probar que el usuario actuó con fraude o negligencia grave.
El mero registro y autenticación correcta de la operación no basta para exonerar al banco de responsabilidad.
El tribunal destaca que el engaño empleado por los ciberdelincuentes fue de una gran sofisticación técnica y perfección, al colocar el mensaje malicioso dentro de la línea de conversación habitual de Ibercaja y realizar la llamada telefónica simulando el número oficial de atención al cliente de la entidad (caller ID spoofing).
En estas circunstancias, no cabe exigir al usuario medio un nivel de conocimientos técnicos experto para detectar la falsedad, por lo que su credulidad y colaboración estaban plenamente justificadas por la apariencia de seguridad legítima.
Asimismo, la Sala reprocha a la entidad financiera que no implementara medidas automáticas de seguridad ni sistemas de detección de anomalías o alertas ante una transferencia de importe inusual y destino internacional.
De acuerdo con la doctrina del Tribunal Supremo (STS Civil de 9 de abril de 2025), el estándar de diligencia exigible a un banco no es el de un buen padre de familia, sino el de un ordenado y experto comerciante.
La ratio decidendi de la sentencia establece que:
“el hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de obligación de responder ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente -lo que no sucedió-, debía acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario”.
Asimismo, el tribunal confirma la doctrina sobre la naturaleza de la responsabilidad bancaria:
“la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo”.
Decisión del Tribunal
La Audiencia Provincial de Zaragoza desestima íntegramente el recurso de apelación interpuesto por Ibercaja Banco S.A. y confirma en su totalidad la sentencia apelada del juzgado de instancia.
Condena a la entidad bancaria a abonar al Sr. Fernando la cantidad de 6.000 euros, más los intereses legales correspondientes desde la reclamación extrajudicial.
Impone a la entidad apelante el pago de las costas procesales de la segunda instancia y decreta la pérdida del depósito constituido para recurrir.
Conclusión
La responsabilidad del banco ante transferencias no autorizadas mediante smishing puede determinar, en determinadas circunstancias, la obligación de reintegrar los fondos sustraídos, especialmente cuando no se acredita una negligencia grave del cliente.
